第1章 GitOps でのマルチテナントサポート

namespace の 1 つに Argo CD カスタムリソース (CR) を作成すると、GitOps Operator はこの namespace で Argo CD を起動し、アプリケーション配信に使用できるようになります。初期状態では、インストールされているのと同じ namespace にのみリソースをデプロイする権限がこのインスタンスにあります。ただし、特定の要件に合わせてインスタンスを設定する必要がある場合があります。

GitOps Operator を使用すると、Argo CD インスタンスの権限を拡張して、Argo CD Application Controller がインストールされている場所とは別の namespace にリソースをデプロイできるようになります。

この方法はどのように機能しますか。

GitOps Operator を使用すると、OpenShift ユーザーは、自分の名前空間内で argoproj.io/v1alpha1 または argoproj.io/v1beta1 API に Argo CD リソースを作成する権限を持っている場合に限り、自分の名前空間内に Argo CD インスタンスをインスタンス化できます。現在、namespace スコープのインスタンスは、管理する 1 つまたは複数の namespace に対して完全な管理権限があります。つまり、その namespace 内のすべてのリソースに対してすべての動詞を使用できるのと同じです。

Argo CD アプリケーションコントローラーが他の名前空間にリソースをデプロイするには、Kubernetes ロールとロールバインディングを設定する必要があります。これらのロールとバインディングは、名前空間スコープのインスタンスが管理できる名前空間を識別します。GitOps Operator は、この設定を簡素化するために argocd.argoproj.io/managed-by ラベルをサポートしています。このラベルを使用して、インスタンスによって管理される名前空間を示します。GitOps Operator を名前空間スコープモードでデプロイすると、ラベル付けされた各名前空間に必要なロールとロールバインディングが自動的に作成されます。

デフォルトでは、managed-by ラベルを使用して名前空間にラベルを付ける場合、GitOps Operator は、ラベル付けされた名前空間に対して、Argo CD Application Controller に Kubernetes のデフォルトの 管理者 クラスターロールと同等の権限を付与します。ただし、Operator の サブスクリプション リソースで CONTROLLER_CLUSTER_ROLE および CONTROLLER_SERVER_ROLE 環境変数を使用することで、コントローラーおよびサーバーコンポーネントに使用される代替のクラスターロールを定義することもできます。これらの変数を指定すると、Operator は名前空間にデフォルトロールを作成するのではなく、対応するクラスターロールの名前空間にロールバインディングのみを作成します。管理者が責任を持って、クラスターロールを作成し、権限を完全に制御するようにしてください。